Windows DACL 枚举项目

用于枚举和分析 Windows DACL 的工具集合

由 NCC Group Plc 以开源形式发布 - http://www.nccgroup.com/

由 Ollie Whitehouse 开发，ollie dot whitehouse at nccgroup dot com

https://github.com/nccgroup/WindowsDACLEnumProject

根据 AGPL 发布，更多信息请参阅 LICENSE

Windows DACL 和 ACE 概述

阅读 - http://msdn.microsoft.com/en-us/library/windows/desktop/aa446597(v=vs.85).aspx

工具 #1：进程权限

功能

作为本项目的一部分发布的第一个工具。将枚举：

• 进程及其运行时的完整性级别和用户。
• 可选：与进程对象关联的 DACL。
• 可选：进程的线程及其关联的 DACL。
• 可选：进程加载的模块。
• 可选：从输出中排除未映射的 SID。

该工具将自动标记任何可疑的 DACL。

命令行选项

命令行接受以下选项：

• -p 进程权限
• -m 模块
• -t 线程和权限
• -o [PID]
• -x 从警报中排除未映射的 SID

典型用法

典型用法是使用如下命令行： processperms -px

由于完整性级别感知功能，该工具专为 Windows Vista / Server 2008 及更高版本设计。

截图

======= 由于完整性级别感知功能，该工具专为 Windows Vista / Server 2008 及更高版本设计。

工具 #2：窗口站和桌面

功能

作为本项目的一部分发布的第二个工具。将枚举：

• 执行该工具所在的会话中的窗口站及其关联的 DACL
• 这些窗口站中的桌面及其关联的 DACL

工具 #3：服务

功能

作为本项目的一部分发布的第三个工具。将枚举：

• 服务，包括内核驱动程序、筛选器驱动程序和用户态服务。
• 服务控制管理器中服务条目关联的 DACL。
• 服务状态、PID、二进制文件路径。
• 与关联的二进制文件关联的 DACL。
• 标记明显薄弱的 DACL。

工具 #4：文件系统

功能

作为本项目的一部分发布的第四个工具。将枚举：

• 文件和访问控制列表
• 目录和访问控制列表
• 对访问控制显得薄弱的文件或目录发出警报

工具 #5：注册表

功能

作为本项目的一部分发布的第五个工具。将枚举：

• 注册表项和访问控制列表
• 对访问控制显得薄弱的注册表项发出警报
• -s 参数用于排除除最可疑输出之外的所有输出（参见 -h）。
• -x 参数仅对可疑输出发出警报（参见 -h）。